Google Consent Mode v2: Basic und Advanced für Unternehmen in Österreich

TL;DR: Consent Mode v2 übermittelt vier Google-Zustände. Basic sendet ohne Zustimmung keine Daten an Google und kann allgemeine Modellierung nutzen. Advanced kann bei verweigertem Consent begrenzte Anfragen ohne Cookies senden und eine werbekundenspezifische Modellierung ermöglichen. Das ist keine Garantie für Datenrückgewinnung, bessere Gebote oder DSGVO-Konformität.

Der Banner zeigt „abgelehnt“, aber der Container meldet Werbedaten als erlaubt: In diesem Fall ist zuerst die Zustandsübertragung zu korrigieren. Mehr Conversions im Bericht lösen einen falschen Consent nicht.

Dieser Leitfaden beschreibt die technische Umsetzung und ihre Grenzen für Unternehmen in Österreich und der EU. Stand: 28. September 2026. Die Entscheidung über zulässige Verarbeitung erfolgt anhand Ihrer tatsächlichen Datenflüsse und einer entsprechenden rechtlichen Bewertung.

Was hat sich mit Consent Mode v2 geändert?

Zu ad_storage und analytics_storage kamen zwei Zustände hinzu:

• ad_storage betrifft werbebezogene Speicherung, etwa Cookies.
• analytics_storage betrifft analysebezogene Speicherung.
• ad_user_data betrifft das Senden von Nutzerdaten an Google für Werbezwecke.
• ad_personalization betrifft personalisierte Werbung.

Schon die frühere Version war nicht bloß ein Schalter „Tag läuft oder läuft nicht“. Die neuen Signale trennen zusätzliche Werbezwecke. Ein erlaubter Speicherzugriff bedeutet nicht automatisch erlaubte Werbedaten oder Personalisierung.

Google verlangt für relevante Mess-, Personalisierungs- und Remarketingfunktionen bei EWR-Traffic aktuelle Consent-Signale. Bei einem eigenen Banner empfiehlt Google Consent Mode; eine geeignete CMP-Integration kann die Übermittlung übernehmen. Das ist eine Produktanforderung von Google, kein eigenständiges Gesetz, das jeder Firma denselben technischen Aufbau vorschreibt.

Basic und Advanced im Vergleich

Grundlage: Google Consent Mode overview und Google Ads: Consent Mode. Eine pauschale Aussage „Basic ist nutzlos“ lässt die unterschiedliche Datenschutzentscheidung und vorhandene Modellierung außer Acht.

„Cookieless“ beschreibt eine technische Eigenschaft, keine Anonymitätsgarantie. Prüfen Sie URL-Parameter, Identifier, Endpunkte und weitere Verwendung. Fehlende Pings beweisen außerdem nicht allein Basic Mode: Ein Fehler, eine Blockierung oder ein nicht ausgelöster Tag kann dieselbe Beobachtung erzeugen.

Was kann Modellierung tatsächlich leisten?

Conversion-Modellierung schätzt nicht beobachtete Vorgänge statistisch. Sie stellt keine konkrete Person wieder her und belegt keine einzelne zusätzliche Bestellung. Eine neue Berichtsmethode kann die ausgewiesenen Conversions verändern, ohne dass mehr bezahlt wurde.

Google Ads nennt für Consent-Mode-Modellierung unter anderem 700 Anzeigenklicks pro Tag über sieben Tage je Land und Domain sowie korrekte Implementierung und ausreichende Modellqualität. Das sind Eignungskriterien, keine Zusage eines bestimmten Rückgewinnungsanteils. Google Ads: Voraussetzungen.

GA4-Verhaltensmodellierung ist ein anderes Verfahren. Google nennt hierfür unter anderem 1.000 Ereignisse pro Tag mit verweigertem Analytics-Consent an mindestens sieben Tagen sowie 1.000 tägliche zustimmende Nutzer an mindestens sieben der letzten 28 Tage; Advanced muss passend implementiert sein. Auch das Erreichen dieser Schwellen garantiert keine Freischaltung. GA4: behavioural modelling.

Trennen Sie in der Auswertung beobachtete Conversions, modellierte Angaben und Backend-Bestellungen. Vergleichen Sie denselben Zeitraum, dieselbe Conversion-Definition, Verzögerungen, Stornos und Erstattungen. Ohne diesen Abgleich lässt sich eine gestiegene Berichtszahl nicht als zusätzlicher Umsatz verkaufen.

Was bedeutet das für Österreich und die EU?

Die DSB erläutert Cookies und Endgerätezugriffe: Nicht erforderliche Technologien benötigen eine wirksame Entscheidung vor ihrem Einsatz. Die Prüfung endet nicht beim Dateinamen „Cookie“; auch andere Speicherung und Zugriffe auf das Gerät sind relevant.

Die DSGVO betrifft zusätzlich personenbezogene Verarbeitung. Consent Mode ersetzt keine verständliche Information, Rechtsgrundlage, Datenminimierung, Empfängerverträge oder Widerrufsmöglichkeit. Eine CMP und ein Tag können technisch richtig kommunizieren, während die zugrunde liegende Verarbeitung trotzdem ungeklärt ist.

Für den Auswahlweg: Cookie-Banner-Audit. Für die Gesamtkette: Datenschutz-Guide.

Vier Schritte für die Umsetzung

Schritt 1: Kategorien und Zustände abbilden

Ordnen Sie die Zwecke des Banners den vier Zuständen zu. Trennen Sie Statistik von Werbung und Personalisierung. Dokumentieren Sie auch den vollständigen und teilweisen Widerruf, regionale Regeln und gespeicherte Entscheidungen. Wählen Sie Basic oder Advanced anhand dieser Architektur und Datenschutzbewertung.

Eine zertifizierte CMP kann die Einrichtung erleichtern. Prüfen Sie aber das konkrete Template, die Website-Version und alle direkten Tags. Der Produktname beweist nicht, dass Kategorien, Reihenfolge und Serverpfade richtig eingerichtet sind.

Schritt 2: Default vor Mess-Tags setzen

Für Google Tag Manager nutzen Sie eine passende CMP-Vorlage am Trigger Consent Initialization. Eigene Consent-Templates verwenden setDefaultConsentState und updateConsentState. Ein gtag-Aufruf in einem beliebigen Custom-HTML-Tag ist dafür kein gleichwertiger Ersatz.

Die folgenden Ausschnitte illustrieren eine direkte gtag-Integration außerhalb eines GTM-Consent-Templates. Sie sind kein vollständiges Installationsskript; der initialisierte Google-Tag und die CMP-Anbindung werden vorausgesetzt:

gtag('consent', 'default', {
  ad_storage: 'denied',
  analytics_storage: 'denied',
  ad_user_data: 'denied',
  ad_personalization: 'denied'
});

Setzen Sie den Ausgangszustand vor den betroffenen Konfigurations- und Messaufrufen. wait_for_update kann bei einer asynchronen CMP eine begrenzte Wartezeit vorsehen. Ein beliebiger Wert von 500 ms ist weder universell passend noch eine dauerhafte Sperre; spätere Updates müssen weiterhin korrekt verarbeitet werden. Google: Einrichtung.

Schritt 3: Nur die tatsächliche Entscheidung übertragen

Eine partielle Entscheidung kann beispielsweise Speicher erlauben, aber Werbedaten und Personalisierung verweigern. Die CMP muss die konkrete Auswahl abbilden, statt nach jedem Klick alle Zustände auf granted zu setzen:

gtag('consent', 'update', {
  ad_storage: 'granted',
  analytics_storage: 'granted',
  ad_user_data: 'denied',
  ad_personalization: 'denied'
});

Der Beispielzustand ist keine Empfehlung für Ihre Kategorien. Die CMP speichert und erneuert die Entscheidung; Consent Mode übernimmt das nicht automatisch. Senden Sie das Update rechtzeitig, bevor die Person weiter navigiert. Widerruf muss auch bei späteren Seitenaufrufen beachtet werden.

Schritt 4: Zustände und tatsächliche Anfragen testen

Testen Sie ersten Besuch, volle Zustimmung, Ablehnung, partielle Zustimmung, Änderung und Wiederbesuch. Vergleichen Sie Tag Assistant, Browser-Netzwerk, Serverweiterleitung und Google-Ads-Diagnose. Ein ausgefülltes Diagnosefeld ist kein Nachweis für jeden Datenpfad.

URL passthrough und ads_data_redaction sind separate Funktionen. Passthrough kann Klickinformationen über Links innerhalb derselben Domain weitergeben; prüfen Sie Parameter und Redirects. Redaction betrifft bestimmte Werbeklick-Identifier bei verweigertem Werbespeicher. Beide sind keine universelle „Privacy“-Voreinstellung oder rechtliche Freigabe. Konfigurieren Sie sie erst nach Prüfung der tatsächlichen Verarbeitung.

Fünf Fehler, die Sie gezielt suchen sollten

Veraltete Signale. Die CMP aktualisiert nur die beiden Storage-Zustände. Kontrollieren Sie auch Werbedaten und Personalisierung.

Default kommt zu spät. Direkte Skripte oder früh gestartete Tags laufen vor Consent Initialization. Prüfen Sie die Reihenfolge beim ersten Besuch, nicht nur nach einem bereits gespeicherten Consent.

Jeder Klick erlaubt alles. Eine Statistikfreigabe wird in vier erteilte Zustände übersetzt. Testen Sie partielle Auswahl und die genaue Kategorienzuordnung.

Browser und Server widersprechen sich. Die Website lehnt Marketing ab, aber Backend oder Server-Tag sendet weiter. Erfassen Sie den tatsächlichen ausgehenden Request.

Nur das Banner wird getestet. Nach Navigation, Reload oder Widerruf tritt ein anderer Ablauf auf. Wiederholen Sie die Tests nach Template- und Plugin-Änderungen und halten Sie die Version fest.

Keine dieser Prüfungen liefert von selbst eine Marktstatistik über österreichische Konten. Die Ursache muss im konkreten Setup nachgewiesen werden.

Consent Mode und Server-Side Tracking

Bei Googles serverseitiger Architektur wird Consent im Web-Container gesetzt und mit dem Request an den Server-Container übergeben. Consent-fähige Google-Tags verarbeiten diese Parameter. Der Server benötigt nicht einen zweiten, unabhängig widersprechenden Ausgangszustand. Google: server-side Consent Mode.

Custom-Tags für Meta, TikTok oder andere Empfänger brauchen ausdrücklich geprüfte Regeln. Googles Zustände steuern diese Schnittstellen nicht automatisch. Dokumentieren Sie pro Ziel Zweck, erlaubte Felder, Bedingung und Verhalten bei Widerruf. Ein Serverpfad ist keine Umgehung der Entscheidung.

Die Architektur und Verantwortlichkeiten beschreibt unser Server-Side-Tracking-Guide.

Vier Prüfungen für diese Woche

1. Vergleichen Sie alle vier Zustände in Tag Assistant vor und nach der CMP-Auswahl.
2. Prüfen Sie Ablehnung, partielle und volle Zustimmung anhand der tatsächlichen Requests.
3. Folgen Sie dem Zustand durch Server-Container und Backend bis zu jedem Empfänger.
4. Vergleichen Sie Ads-Berichte mit bezahlten Bestellungen; unterscheiden Sie Berichtsmethode und Geschäftsergebnis.

Weiterführende Quellen: Google: CMP-Einrichtung.

Häufig gestellte Fragen

Was ist der wichtigste Unterschied zwischen Basic und Advanced?

Basic sendet ohne Zustimmung keine Daten an Google. Advanced kann bei verweigertem Consent begrenzte Anfragen ohne Cookies senden und werbekundenspezifische Modellierung ermöglichen. Basic kann allgemeine Modelle nutzen. Die unterschiedliche Datenübertragung erfordert eine bewusste technische und rechtliche Entscheidung.

Ist Consent Mode v2 für ein österreichisches Google-Ads-Konto Pflicht?

Google verlangt aktuelle Consent-Signale für bestimmte Funktionen bei EWR-Traffic. Das Gesetz schreibt keinen Google-Produktnamen vor. Prüfen Sie die genutzten Funktionen, Signalisierung und Rechtsgrundlage; ein anderer technischer Weg kann Einschränkungen der Google-Funktionen bedeuten.

Wie viele Conversions gewinnt Advanced zurück?

Das lässt sich vorher nicht pauschal beziffern. Traffic, Modellierungsvoraussetzungen, Consent und Einrichtung beeinflussen die Verfügbarkeit. Prüfen Sie Diagnose und Backend; versprechen Sie weder einen festen Prozentsatz noch neue Verkäufe allein durch Modellierung.

Welche CMPs unterstützen Consent Mode v2?

Google führt Integrationspartner und unterstützte CMPs auf. Prüfen Sie deren aktuelles Template, Kategorienzuordnung, Reihenfolge und tatsächliche Requests. Eine gelistete CMP garantiert keine korrekte Website-Konfiguration. Google: CMP-Einrichtung.

Macht Consent Mode die Website DSGVO-konform?

Nein. Es übermittelt Zustände an Google-Tags. Rechtsgrundlage, Informationen, Auswahl, Daten, Empfänger, Verträge, Speicherfristen und Widerruf müssen separat stimmen. Eine ungeklärte Verarbeitung benötigt eine entsprechende Datenschutzbewertung.

Wenn Banner, GTM und Google Ads unterschiedliche Zustände zeigen, dokumentieren Sie zuerst die Requests. Beschreiben Sie das Problem oder sehen Sie Tracking & CAPI. Diagnose und Umsetzung werden separat vereinbart.